Amazon Elasticsearch (Amazon Elasticsearch Service) 中的精细访问控制

查看当前租户或更改租户

1. 导航到 Kibana 并进行登录。

2. 在右上角，选择您的用户图标。

3. 选择Switch 租户。

4. 在创建可视化内容或控制面板之前验证租户。如果您想与所有其他 Kibana 用户共享您的工作，请选择 Global (全球)。要与一部分 Kibana 用户共享您的工作，请选择其他共享租户。否则，请选择 Private (私有)。

开始使用精细访问控制

1. 使用以下设置创建域：

   • 弹性搜索

   • 公有访问权限

   • 已启用精细访问控制，并将 IAM 角色作为主用户（在本教程的其余内容中，为 IAMMasterUserRole）

   • 用于 Kibana 的 Amazon Cognito 身份验证enabled

   • 以下访问策略：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": [
               "*"
             ]
           },
           "Action": [
             "es:ESHttp*"
           ],
           "Resource": "arn:aws:es:region:account:domain/domain-name/*"
         }
       ]
     }

   • 所有到达域的流量所需的 HTTPS

   • 节点到节点加密

   • 静态数据加密

2. 导航到 IAM 控制台，然后选择 Roles (角色)。

3. 选择 IAMMasterUserRole，然后选择 Trust relationships (信任关系) 选项卡。

4. 选择编辑信任关系，并确保 Amazon Cognito 身份池可代入该角色。您应看到以下语句：

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Principal": {
         "Federated": "cognito-identity.amazonaws.com"
       },
       "Action": "sts:AssumeRoleWithWebIdentity",
       "Condition": {
         "StringEquals": {
           "cognito-identity.amazonaws.com:aud": "identity-pool-id"
         },
         "ForAnyValue:StringLike": {
           "cognito-identity.amazonaws.com:amr": "authenticated"
         }
       }
     }]
   }

5. 选择 Update Trust Policy。

6. 将相同的信任策略添加到第二个 IAM 角色（对于本教程的其余部分，为 IAMLimitedUserRole）。

7. 导航到 Amazon Cognito 控制台，然后选择管理用户池。

8. 选择您的用户池，然后选择 Users and groups (用户和组)。

9. 选择 Create user (创建用户)，指定用户名 master-user 和密码，然后选择 Create user (创建用户)。

10. 创建另一个名为 limited-user 的用户。

11. 选择 Groups (组) 选项卡，然后选择 Create group (创建组)。

12. 命名组master-user-group中，选择IAMMasterUserRole中的IAM 角色下拉列表，然后选择创建组。

13. 创建另一个名为 limited-user-group 的组，该组使用 IAMLimitedUserRole。

14. 选择 master-user-group，再选择 Add users (添加用户)，然后添加 master-user。

15. 选择 limited-user-group，再选择 Add users (添加用户)，然后添加 limited-user。

16. 选择 App client settings (应用程序客户端设置)，并记下域的应用程序客户端 ID。

17. 选择 Federated Identities (联合身份)，再选择您的身份池，然后选择 Edit identity pool (编辑身份池)。

18. 展开 Authentication providers (身份验证提供商)，查找域的用户池 ID 和应用程序客户端 ID，然后将 Use default role (使用默认角色) 更改为 Choose role from token (从令牌中选择角色)。

19. 对于 Role resolution (角色解析)，选择 DENY (拒绝)。在使用此设置时，用户必须位于组中才能在身份验证后接收 IAM 角色。

20. 选择 Save Changes。

21. 导航到 Kibana。

22. 使用 master-user 进行登录。

23. 选择 Try our sample data (试用我们的示例数据)。

24. 添加示例飞行数据。

25. 选择安全、角色、创建角色。

26. 将角色命名为 new-role。

27. 对于索引权限，请指定kibana_sample_data_fli*作为索引模式。

28. 对于操作组，请选择read。

29. 对于 Document Level Security Query (文档级安全查询)，请指定以下查询：

    {
      "match": {
        "FlightDelay": true
      }
    }

30. 对于字段级别的安全性，请选择Exclude Colle并指定FlightNum。

31. 适用于匿名字段，指定Dest。

32. 选择 Create (创建)。

33. 选择映射用户、Manage 映射。然后添加IAMLimitedUserRole作为外部标识，然后选择映射。

34. 返回角色列表，然后选择基巴那用户。选择映射用户、Manage 映射。然后添加IAMLimitedUserRole作为外部标识，然后选择映射。

35. 在新的私有浏览器窗口中，导航到 Kibana，使用 limited-user 进行登录，然后选择 Explore on my own (自行浏览)。

36. 选择 Dev Tools (开发人员工具)，然后运行默认搜索：

    GET _search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意权限错误。limited-user 没有运行集群范围内搜索的权限。

37. 运行另一个搜索：

    GET kibana_sample_data_flights/_search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意，在所有匹配的文档中，有一个为 true 的 FlightDelay 字段，一个匿名化的 Dest 字段，但没有 FlightNum 字段。

38. 在原始浏览器窗口中，以 master-user 身份登录，选择 Dev Tools (开发人员工具)，然后执行相同的搜索。请注意权限、命中数、匹配文档和包含字段的差异。

开始使用精细访问控制

1. 使用以下设置创建域：

   • 弹性搜索

   • 公有访问权限

   • 对内部用户数据库中的主用户的精细访问控制（对于本教程的其余部分，为 TheMasterUser）

   • 用于 Kibana 的 Amazon Cognito 身份验证已禁用

   • 以下访问策略：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": [
               "*"
             ]
           },
           "Action": [
             "es:ESHttp*"
           ],
           "Resource": "arn:aws:es:region:account:domain/domain-name/*"
         }
       ]
     }

   • 所有到达域的流量所需的 HTTPS

   • 节点到节点加密

   • 静态数据加密

2. 导航到 Kibana。

3. 使用 TheMasterUser 进行登录。

4. 选择 Try our sample data (试用我们的示例数据)。

5. 添加示例飞行数据。

6. 选择安全、内部用户、创建内部用户。

7. 命名用户new-user并指定密码。然后选择 Create (创建)。

8. 依次选择 Roles (角色)、Create role (创建角色)。

9. 将角色命名为 new-role。

10. 对于索引权限，请指定kibana_sample_data_fli*作为索引模式。

11. 对于操作组，请选择read。

12. 对于 Document Level Security Query (文档级安全查询)，请指定以下查询：

    {
      "match": {
        "FlightDelay": true
      }
    }

13. 对于字段级别的安全性，请选择Exclude Colle并指定FlightNum。

14. 适用于匿名字段，指定Dest。

15. 选择 Create (创建)。

16. 选择映射用户、Manage 映射。然后添加new-user到用户，然后选择映射。

17. 返回角色列表，然后选择基巴那用户。选择映射用户、Manage 映射。然后添加new-user到用户，然后选择映射。

18. 在新的私有浏览器窗口中，导航到 Kibana，使用 new-user 进行登录，然后选择 Explore on my own (自行浏览)。

19. 选择 Dev Tools (开发人员工具)，然后运行默认搜索：

    GET _search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意权限错误。new-user 没有运行集群范围内搜索的权限。

20. 运行另一个搜索：

    GET kibana_sample_data_flights/_search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意，在所有匹配的文档中，有一个为 true 的 FlightDelay 字段，一个匿名化的 Dest 字段，但没有 FlightNum 字段。

21. 在原始浏览器窗口中，以 TheMasterUser 身份登录，选择 Dev Tools (开发人员工具)，然后执行相同的搜索。请注意权限、命中数、匹配文档和包含字段的差异。

修改主用户（控制台）

1. 转至 https://aws.amazon.com，然后选择 Sign In to the Console (登录控制台)。

2. 在 Analytics 下，选择 Elasticsearch Service。

3. 选择您的域。

4. 选择操作、修改身份验证。

5. 选择 Set IAM role as master user (将 IAM 角色设置为主用户) 或 Create new master user (创建新的主用户)。

   • 如果您之前使用了 IAM 主用户，则精细访问控制会将 all_access 角色重新映射到您指定的新 IAM ARN。

   • 如果您之前使用了内部用户数据库，则精细访问控制会创建一个新的主用户。您可以使用新的主用户删除旧的主用户。

   • 从内部用户数据库切换到 IAM 主用户不从内部用户数据库中删除所有用户。相反，它只是禁用 HTTP 基本身份验证。手动从内部用户数据库中删除用户，或保留这些用户，以防您需要重新启用 HTTP 基本身份验证。

6. 选择 Submit。